Linux PC mit eingeschränkten Anzeige-Rechten unter LMDE 7

[Sir Charles82]

Liebe Leute,

zusammen mit einem Freund hier aus dem Forum, der mir schon bei etlichen Projekten geholfen hat, habe ich - nach verschiedenen Versuchen - ein LMDE 7 aufgesetzt, an dem sich derzeit ein Standard-User automatisch anmeldet.
Was es noch hätte tun sollen: es hätte sich automatisch mit einem Benutzernamen an einem Share-Laufwerk anmelden sollen und ein Dateimanager-Fenster auf eben dieses Share öffnen sollen.
Besonderheit des Benutzers: der Share-Benutzer hat eingeschränkte Rechte und ist vom Share-Zugriff her auf readonly gesetzt.

Die automatische Einrichtung über autofs-CIFS-maps mit begrenzten Rechten ist leider gescheitert (da tut sich gar nix), die Einrichtung über "Nemo" und "Mit Server verbinden" hat nach einigem Probieren geklappt.

ABER: der eingeschränkte Benutzer kann keine Daten am Share-Laufwerk verschieben, löschen etc... aber ausdrucken oder auf einen angesteckten USB-Stick runterspeichern geht sehr wohl.

Fällt euch eine Lösung ein, wie man das unterbinden könnte? und/oder wie das beschränkte Autofs-cifs-Setting doch wieder geht?

Hintergrund ist ein PC, der PDF-Dateien / JPG-Dateien anzeigen können soll, aber diese sollen nur angezeigt werden, nicht extern abspeicherbar sein...

Danke für alle Ideen.

Fürs Setting
PC ist ein Shuttle DS47D mit 256 GB SSD und 8GB RAM unter LMDE 7 64bit

 

[hikaru]

Wenn du Dateien lesen kannst, dann kannst du sie auch immer kopieren oder ausdrucken.

Wenn du das unterbinden willst, dann musst du am anderen Ende ansetzen: Dem User den Schreibvorgang untersagen, indem z.B. USB-Sticks nur read-only gemountet werden und kein Drucker ansprechbar ist.
Das passiert dann aber auf Ebene des Users, nicht der Dateien. Und es wird tendenziell kompliziert, das abzusichern. Im Zweifelsfall speichert der User die Datei temporär im RAM ab und mailt sie sich von dort.
Im Endeffekt läuft das auf ein Kiosk-System hinaus. Und dann kann der User immer noch sein Handy zücken und den Bildschirm abfotografieren.

 

[Sir Charles82]

@hikaru: eine vollkommene Sicherheit wird es sowieso nie geben, da hast Du ganz recht. Aber wenn man den Benutzenden das Runterkopieren möglichst schwer macht (kein Drucker angeschlossen, alle Netzwerkdrucker aus der Liste entfernt und angesteckte USB-Sticks oder Festplatten sind readonly, dann ist "Gelegenheit macht Diebe" schon schwieriger.

in meinem Nutzerszenario bringt niemand aus dem Stand zusammen, Dateien temporär in den RAM zu legen und sie von dort zu mailen.

Es geht um Dateien, die eben nur im Rahmen eines Lesesaals eingesehen werden sollen - ob wir den Leuten jetzt das Buch hinlegen und sie fotografieren es ab oder sie können sich das Digitalisat am 27 Zoll Monitor anschauen und sie fotografieren das ab, kommt aufs selbe raus - nur müssen wir die großen, schweren Bände nicht spazieren tragen.

 

[hikaru]

angesteckte USB-Sticks oder Festplatten sind readonly

Wenn es nur das ist was du willst, dann sollte es ausreichen, mit root-Rechten die Datei /etc/udisks2/mount_options.conf mit diesem Inhalt anzulegen (ungetestet):

[defaults]
defaults=ro

in meinem Nutzerszenario bringt niemand aus dem Stand zusammen, Dateien temporär in den RAM zu legen und sie von dort zu mailen.

Zu deinen Nutzern gehören also keine Jugendlichen mit Hang zu IT und Spieltrieb. Sehr gut! Dann sollte ein einfacher Aufkleber auf der Handballenauflage reichen:

Bitte keine Dateien auf mitgebrachten USB-Sticks mitnehmen! Danke!

 

[Sir Charles82]

ich werde es probieren.
Jugendliche verirren sich nur her, wenn wir zufällig Bücher haben, die sie brauchen. Sind eher Wissenschaftler, die ungeduldig sind, wenn nicht gleich alles geht, wie erwartet. Das Gute an readonly-USB-Sticks ist, dass sich die Leute dann gleich die Scans vom Buchscanner anschauen können... also win-win-win
Danke!

Edit sagt: gibts auch noch einen Kniff, dass der Dateimanager einen bestimmten Ordner automatisch nach dem Hochfahren aufmacht?